云計(jì)算訪(fǎng)問(wèn)控制技術(shù)研究綜述

王金寶

摘 要：進(jìn)入新時(shí)期后，云計(jì)算發(fā)展迅速，但同時(shí)，也暴露出來(lái)了嚴(yán)重的云安全問(wèn)題。而訪(fǎng)問(wèn)技術(shù)是云安全問(wèn)題的關(guān)鍵，通過(guò)訪(fǎng)問(wèn)控制技術(shù)的實(shí)施，可以有效限制用戶(hù)訪(fǎng)問(wèn)數(shù)據(jù)，促使信息資源使用合法性得到保證。本文簡(jiǎn)要分析了云計(jì)算訪(fǎng)問(wèn)控制技術(shù)，希望能夠提供一些有價(jià)值的參考意見(jiàn)。

關(guān)鍵詞：云計(jì)算;訪(fǎng)問(wèn)控制技術(shù);研究綜述

在云計(jì)算發(fā)展中，非常重要的一個(gè)問(wèn)題是訪(fǎng)問(wèn)控制。如果向云服務(wù)提供商外包數(shù)據(jù)處理、數(shù)據(jù)存儲(chǔ)等工作，那么數(shù)據(jù)所有者就無(wú)法有效掌控?cái)?shù)據(jù)，這樣云服務(wù)提供商就很容易非法訪(fǎng)問(wèn)數(shù)據(jù)。此外，研究發(fā)現(xiàn)，在云計(jì)算中經(jīng)常使用到虛擬化和多租戶(hù)技術(shù)，以便達(dá)到動(dòng)態(tài)伸縮資源的目的。但是，在虛擬化技術(shù)的支持下，很多用戶(hù)可以對(duì)硬件資源進(jìn)行共享，也就是在一張數(shù)據(jù)表上存儲(chǔ)不同的用戶(hù)數(shù)據(jù)，僅僅借助于標(biāo)簽進(jìn)行隔離，在這種情況下，很容易有非法訪(fǎng)問(wèn)出現(xiàn)。

1 云計(jì)算訪(fǎng)問(wèn)控制技術(shù)概述

訪(fǎng)問(wèn)控制技術(shù)于上個(gè)世紀(jì)七十年代出現(xiàn)，其主要目標(biāo)是滿(mǎn)足主服務(wù)器上的數(shù)據(jù)訪(fǎng)問(wèn)授權(quán)需求，通過(guò)有效辨別訪(fǎng)問(wèn)者的身份，來(lái)對(duì)訪(fǎng)問(wèn)者數(shù)據(jù)訪(fǎng)問(wèn)區(qū)域進(jìn)行限定，以此來(lái)保密重要數(shù)據(jù)，避免主服務(wù)器的正常運(yùn)行受到非法入侵的不良影響。經(jīng)過(guò)不斷發(fā)展，傳統(tǒng)訪(fǎng)問(wèn)控制技術(shù)逐步發(fā)展為自主訪(fǎng)問(wèn)控制、強(qiáng)制訪(fǎng)問(wèn)控制、角色訪(fǎng)問(wèn)控制等多種類(lèi)型。

2 云計(jì)算時(shí)代下計(jì)算和存儲(chǔ)模式的變化

調(diào)查研究發(fā)現(xiàn)，進(jìn)入云計(jì)算時(shí)代后，在較大程度上改變了存儲(chǔ)模式和計(jì)算模式。具體來(lái)講，可以從這些方面進(jìn)行分析：首先，用戶(hù)無(wú)法對(duì)資源有效控制;用戶(hù)、云平臺(tái)之間的信任不夠。其次，先進(jìn)技術(shù)的運(yùn)用，改變了數(shù)據(jù)安全域。再次，通過(guò)多租戶(hù)技術(shù)的運(yùn)用，對(duì)訪(fǎng)問(wèn)主體進(jìn)行了重新界定。最后，虛擬化技術(shù)的運(yùn)用，導(dǎo)致數(shù)據(jù)資料很容易被同一物理設(shè)備所竊取。在這種情況下，就需要深入研究訪(fǎng)問(wèn)控制技術(shù)，保護(hù)云計(jì)算環(huán)境下的數(shù)據(jù)安全。

3 云計(jì)算環(huán)境下訪(fǎng)問(wèn)控制面臨的問(wèn)題

調(diào)查發(fā)現(xiàn)，在過(guò)去的計(jì)算機(jī)模式下，通常在企業(yè)內(nèi)部部署信息系統(tǒng)的軟件和硬件，企業(yè)信息系統(tǒng)管理人員控制著內(nèi)部網(wǎng)絡(luò)，且能對(duì)內(nèi)部所有IT資源有效控制。而如果在云端上放置業(yè)務(wù)，那么就會(huì)在更大的域中存儲(chǔ)信息系統(tǒng)各項(xiàng)業(yè)務(wù)。在這種情況下，企業(yè)只能夠?qū)Σ豢尚庞虿糠挚刂?，無(wú)法有效控制云域，在訪(fǎng)問(wèn)控制過(guò)程中很容易出現(xiàn)問(wèn)題。

3.1 身份供應(yīng)

在過(guò)去的模式下，企業(yè)內(nèi)部用戶(hù)身份信息由企業(yè)內(nèi)部人員所供應(yīng)，本過(guò)程不超出系統(tǒng)可信任邊界，因此可以較為便捷的實(shí)現(xiàn)身份供應(yīng)。而如果引入了云服務(wù)，就會(huì)增加不同域身份供應(yīng)的難度。如果身份供應(yīng)同時(shí)由云域和企業(yè)域共同提供，那么就無(wú)法實(shí)現(xiàn)身份信息同步;而如果身份信息由云所提供，這樣就很容易出現(xiàn)用戶(hù)數(shù)據(jù)被非法訪(fǎng)問(wèn)的問(wèn)題。因?yàn)樵骗h(huán)境在身份供應(yīng)中采用的方式為自主供應(yīng)，這樣就很容易泄露用戶(hù)隱私信息。

3.2 認(rèn)證

過(guò)去在認(rèn)證中，通常將用戶(hù)名和口令的方式運(yùn)用過(guò)來(lái)。實(shí)踐研究表明，本種方式的安全性不夠，可信域內(nèi)部容易出現(xiàn)威脅。系統(tǒng)均在可信任邊界內(nèi)工作，具有一定的安全性，但是如果將終端設(shè)備接入進(jìn)來(lái)，安全性就得不到保證。針對(duì)這種情況，需要將安全性更高的多因子認(rèn)證方式運(yùn)用過(guò)來(lái)，且根據(jù)安全級(jí)別的差異，將不同力度的認(rèn)證方式運(yùn)用過(guò)來(lái)。在系統(tǒng)內(nèi)部引入云服務(wù)后，為了保護(hù)隱私，大部分企業(yè)不會(huì)將用戶(hù)基本身份信息提供給云服務(wù)提供商，那么用戶(hù)身份就無(wú)法被云計(jì)算供應(yīng)商所確認(rèn)，由購(gòu)買(mǎi)云服務(wù)的企業(yè)開(kāi)展認(rèn)證服務(wù)，這樣在用戶(hù)身份認(rèn)證時(shí)，就會(huì)有一系列問(wèn)題出現(xiàn)。

3.3 訪(fǎng)問(wèn)授權(quán)

要想促使訪(fǎng)問(wèn)授權(quán)的目的得到實(shí)現(xiàn)，就需要對(duì)訪(fǎng)問(wèn)控制模型合理選擇，但是因?yàn)樵朴?jì)算的局限性，部分模型無(wú)法有效應(yīng)用。在這種情況下，就需要充分考慮哪種訪(fǎng)問(wèn)控制模型可以運(yùn)用到云環(huán)境中，云服務(wù)提供商應(yīng)該對(duì)訪(fǎng)問(wèn)控制模型如何選擇等。在具體實(shí)踐中，如果將策略決定點(diǎn)、執(zhí)行點(diǎn)布置于云端或云服務(wù)提供商處，這樣就需要同步云端用戶(hù)信息和其他企業(yè)信息，實(shí)現(xiàn)難度較大。但是如果無(wú)法實(shí)現(xiàn)，就會(huì)影響到正常的訪(fǎng)問(wèn)授權(quán)。而如果將執(zhí)行點(diǎn)布置于云端，雖然信息遠(yuǎn)程同步的問(wèn)題得到了有效解決，但是卻分離了授權(quán)和應(yīng)用，出現(xiàn)了新的問(wèn)題。

3.4 身份聯(lián)合

研究發(fā)現(xiàn)，在云環(huán)境下，服務(wù)訪(fǎng)問(wèn)的實(shí)現(xiàn)涉及到的域較多，且不同的域在認(rèn)證方式、身份供應(yīng)方式等方面存在著較大的差異，不同域需要不同的訪(fǎng)問(wèn)控制方式，這樣就需要對(duì)身份管理、訪(fǎng)問(wèn)控制的方式進(jìn)行統(tǒng)一，否則系統(tǒng)不兼容問(wèn)題就很容易出現(xiàn)，影響到用戶(hù)訪(fǎng)問(wèn)?；谶@種情況，需要深入研究身份聯(lián)合技術(shù)。目前，云環(huán)境下的身份標(biāo)準(zhǔn)還沒(méi)有得到統(tǒng)一制定，云服務(wù)提供商、企業(yè)采用不同的標(biāo)準(zhǔn)，那么就在較大程度上增加了身份聯(lián)合的難度。

4 云計(jì)算訪(fǎng)問(wèn)控制技術(shù)

在研究云計(jì)算訪(fǎng)問(wèn)控制技術(shù)時(shí)，需要將諸多方面的因素納入考慮范圍，除了要考慮訪(fǎng)問(wèn)控制物理資源和虛擬資源，還需要有效保護(hù)底層資源，避免不法人員惡意竊取信息流和數(shù)據(jù)等，同時(shí)，還需要靈活多樣的設(shè)計(jì)訪(fǎng)問(wèn)控制。

4.1 云身份供應(yīng)

云身份供應(yīng)標(biāo)準(zhǔn)尚未制定出來(lái)時(shí)，云服務(wù)供應(yīng)商需要積極遵循服務(wù)供應(yīng)標(biāo)記語(yǔ)言，以此來(lái)保證合作企業(yè)之間能夠有效交換用戶(hù)信息、資源信息和服務(wù)信息。一般情況下，可以利用兩種方式來(lái)實(shí)現(xiàn)這個(gè)目的：首先是將適用性較強(qiáng)的連接器、適配器等提供給用戶(hù);其次是將SPML網(wǎng)關(guān)提供給用戶(hù)。只要支持SPML，那么云服務(wù)供應(yīng)商可以將身份供應(yīng)方面的服務(wù)實(shí)時(shí)提供給新用戶(hù)，云服務(wù)供應(yīng)商借助于SAML令牌，提供新用戶(hù)信息，且在信息數(shù)據(jù)庫(kù)中添加用戶(hù)信息，以便對(duì)定制方案中存在的問(wèn)題有效解決和完善。

4.2 云認(rèn)證

因?yàn)槎嘧鈶?hù)技術(shù)的運(yùn)用，導(dǎo)致需要將強(qiáng)認(rèn)證方式給運(yùn)用過(guò)來(lái)，如果由云端提供強(qiáng)認(rèn)證，那么認(rèn)證服務(wù)就需要由云服務(wù)提供商所實(shí)施;結(jié)合實(shí)際的情況，也可以向云身份供應(yīng)商外包認(rèn)證服務(wù)。如果認(rèn)證服務(wù)由企業(yè)所提供，那么云服務(wù)供應(yīng)商就要從技術(shù)等多個(gè)角度提供支持，促進(jìn)認(rèn)證委托等工作的順利開(kāi)展。借助于開(kāi)放標(biāo)準(zhǔn)，企業(yè)可以將強(qiáng)認(rèn)證有效實(shí)施下去，或者將云認(rèn)證服務(wù)內(nèi)置于平臺(tái)中。基于云計(jì)算的要求，需要企業(yè)提供認(rèn)證服務(wù)。在具體實(shí)踐中，相應(yīng)的工作人員在身份認(rèn)證服務(wù)實(shí)施中，可以借助于專(zhuān)用網(wǎng)VPN來(lái)實(shí)現(xiàn)。

4.3 云訪(fǎng)問(wèn)協(xié)議

現(xiàn)階段，自主訪(fǎng)問(wèn)控制、角色訪(fǎng)問(wèn)控制、強(qiáng)制訪(fǎng)問(wèn)控制等是信息系統(tǒng)實(shí)施訪(fǎng)問(wèn)控制的主要模型。研究發(fā)現(xiàn)，在自主訪(fǎng)問(wèn)控制模型中可以有效適用非結(jié)構(gòu)化數(shù)據(jù)，一般情況下，要綜合運(yùn)用事物處理服務(wù)和角色訪(fǎng)問(wèn)控制模型。

4.4 云身份聯(lián)合

研究發(fā)現(xiàn)，目前有多種方式可以實(shí)現(xiàn)身份聯(lián)合，如企業(yè)將身份供應(yīng)機(jī)構(gòu)ID構(gòu)建起來(lái)，或者專(zhuān)門(mén)供應(yīng)商對(duì)IDAAS等統(tǒng)一構(gòu)建。需要注意的是，在構(gòu)建云身份聯(lián)合模型時(shí)，首先要對(duì)身份管理機(jī)構(gòu)進(jìn)行構(gòu)建，且機(jī)構(gòu)的權(quán)威性較強(qiáng);其次，對(duì)用戶(hù)基本屬性合理確定;最后，要對(duì)身份供應(yīng)機(jī)構(gòu)合理設(shè)定，且云服務(wù)提供商的訪(fǎng)問(wèn)需要被有機(jī)支持。

5 結(jié)語(yǔ)

綜上所述，在云計(jì)算發(fā)展過(guò)程中，非常關(guān)鍵的內(nèi)容即為云計(jì)算訪(fǎng)問(wèn)控制，其研究成果會(huì)直接影響到我國(guó)信息化整體建設(shè)成效。需要注意的是，云計(jì)算訪(fǎng)問(wèn)控制除了要深入研究技術(shù)，還需要結(jié)合實(shí)際情況，不斷完善行業(yè)標(biāo)準(zhǔn)，提升其標(biāo)準(zhǔn)化程度。

參考文獻(xiàn)：

[1]戚斌.云計(jì)算訪(fǎng)問(wèn)控制技術(shù)研究綜述[J].中國(guó)新通信，2017，3（10）：123-125.

[2]李亞奇.云計(jì)算訪(fǎng)問(wèn)控制技術(shù)研究綜述[J].信息與電腦，2016，4（11）：88-90.

[3]王子豪.云計(jì)算環(huán)境中訪(fǎng)問(wèn)控制研究綜述[J].電子世界，2016，3（14）：244-245.